Významný incident jednoduše vysvětleno

Co je významný incident?

Za významný incident se považuje incident – viz heslo Incident –, který má závažné dopady: delší výpadky, velký únik dat nebo mnoho zasažených uživatelů. Teprve tato závažnost činí incident předmětem hlášení. Pojem je tak prahem, který rozhoduje, zda se řetězec hlášení spustí, nebo ne: běžný incident zůstává vnitřní záležitostí, významný incident se stává povinností vůči úřadu.

Kdy je incident „významný“

Rozhodná je mimo jiné délka výpadku, počet zasažených osob nebo zákazníků, možné finanční škody, únik citlivých dat a dopady na jiné poskytovatele nebo na zásobování. Protože NIS2 nestanoví pevné bodové skóre, ale posouzení významnosti podle okolností ponechává na organizaci, měli byste tyto faktory převést do vlastních zdokumentovaných prahových hodnot ještě dřív, než nastane první ostrý případ – jinak se právě v krátké lhůtě 24 hodin ztratí cenné minuty vnitřními diskusemi.

Rozhodovací kontrolní seznam: je incident významný?

Zpravidla stačí jediné jasné ano, aby se řetězec hlášení spustil. V pochybnostech: hlásit.

• Závažné narušení provozu? Klíčová služba delší dobu nedostupná nebo výrazně omezená → spíše ano. Krátká, vlastními silami odstraněná porucha bez dopadu na zákazníky → spíše ne.
• Významná finanční škoda? Citelná ztráta na tržbách, výkupné nebo náklady na obnovu → ano. Zanedbatelné náklady → ne.
• Dotčení třetích osob? Jsou dotčeni zákazníci, dodavatelé, jiní poskytovatelé nebo zásobování veřejnosti → ano. Omezeno čistě dovnitř organizace → ne.
• Únik citlivých dat? Unikla nebo byla pozměněna osobní či obchodně kritická data → ano. Žádný přístup k datům nezjištěn → ne.
• Mnoho zasažených nebo opakování? Zasažen velký počet uživatelů nebo úmyslný či opakovaný útok → ano. Ojedinělý případ bez širšího dopadu → ne.

Důsledek: ohlašovací povinnost

Jde-li o významný incident, nastupuje třístupňový řetězec, který popisuje heslo Ohlašovací povinnost a jehož stupni jsou hlášení (do 24 hodin), oznámení incidentu (do 72 hodin). Závěrečná zpráva se podává do 30 dnů. Od incidentu, který již nastal, je třeba odlišit významnou kybernetickou hrozbu, tedy nebezpečí, které dosud ke škodě nevedlo.

Dva případy, jeden práh

Scénář: internetový obchodník zjistí, že přes zranitelnost unikla zákaznická data zhruba 40 000 účtů. Únik dat a k tomu mnoho zasažených – dvě jasná ano v kontrolním seznamu. Tým během několika minut incident vyhodnotí jako významný a spustí řetězec hlášení. Krátká špička zátěže v e-shopu předchozího dne naproti tomu zůstala pod každým prahem, žádného zákazníka neomezila a byla jen interně zaznamenána. Stejné měřítko, dva opačné výsledky.

Co je třeba udělat?

Jakmile kontrolní seznam ukáže ano, počítá se každá minuta. Do postupu patří tyto kroky:

• Zdokumentovat zařazení: Krátce zaznamenat okamžik zjištění a rozhodující kritérium – doloží to později včasné posouzení.
• Odeslat hlášení: podat do 24 hodin přes portál NÚKIB (kdo dosud regulovanou službu neohlásil, podává ohlášení do 60 dnů ode dne, kdy jsou splněny zákonné podmínky).
• Zastavit šíření incidentu: izolovat zasažené systémy a zajistit důkazy, souběžně s hlášením.
• Hlídat lhůty: naplánovat oznámení do 72 hodin a závěrečnou zprávu do 30 dnů.
• Spustit plán: aktivovat plán reakce na incidenty – aby role i eskalace okamžitě fungovaly.

Kdo váhá, riskuje pokutu až do výše 250 000 000 Kč nebo 2 % celosvětového ročního obratu (režim vyšších povinností), respektive 175 000 000 Kč nebo 1,4 % (režim nižších povinností). Jasná kritéria šetří právě tento čas na diskusi.

Další zdroj: Směrnice (EU) 2022/2555, kritéria významných incidentů (čl. 23)